Politique de confidentialité
Dernière mise à jour : 19 octobre 2026
La présente politique explique comment West Strategy (le « Service », site west-strategy.com) collecte, utilise et protège vos données personnelles. Elle s'applique aux utilisateurs situés en France et dans l'Union européenne (Règlement général sur la protection des données, « RGPD ») ainsi qu'en Suisse (nouvelle loi fédérale sur la protection des données, « nLPD »).
Notre engagement : vos données ne sont ni vendues, ni louées, ni partagées avec des tiers à des fins commerciales ou publicitaires.
Seuls les prestataires techniques indispensables au fonctionnement du Service (listés à la section 5) les traitent, pour notre compte et sans droit de les réutiliser.
1. Responsable du traitement
[NOM / RAISON SOCIALE], [ADRESSE]. Contact pour toute question relative à vos données : le formulaire de contact.
Utilisateurs suisses : le responsable étant établi en France, [REPRÉSENTANT EN SUISSE, si requis par l'art. 14 nLPD — sinon supprimer cette phrase].
2. Données collectées
| Catégorie | Données | Source |
|---|---|---|
| Compte | Prénom, âge (18 ans minimum), pays (France ou Suisse), adresse e-mail, mot de passe (stocké uniquement sous forme hachée, jamais en clair), date du consentement | Vous, à l'inscription |
| Données bancaires | Nom et établissement de vos comptes ; transactions (date, libellé, montant, catégorie) ; jeton d'accès Tink (chiffré). Nous ne recevons jamais vos identifiants bancaires : vous les saisissez uniquement chez Tink / votre banque. | Tink, après votre consentement explicite |
| Essai gratuit (14 jours) | Dates de début et de fin de l'essai, état de l'abonnement (essai, essai terminé, actif…), motif de fin d'essai, dates d'affichage des rappels | Générées par le Service |
| Prévention des abus de l'essai | Empreintes hachées (HMAC-SHA256, non réversibles) de votre adresse e-mail normalisée, de l'IBAN ou du numéro du compte d'un relevé importé ou d'une banque connectée, et de votre identifiant utilisateur Tink. Aucune de ces valeurs n'est conservée en clair à cette fin (voir section 3 bis). | Calculées par le Service à l'inscription, à l'import et à la connexion bancaire |
| Abonnement (offre Premium) | Offre choisie, statut, date de fin de période, identifiants client et abonnement Stripe. Vos données de carte ne transitent jamais par nos serveurs : elles sont saisies directement chez Stripe. | Vous et Stripe, lors d'une souscription |
| Budget | Catégories de budget et montants prévus que vous saisissez | Vous |
| Analyses IA | Alertes et recommandations générées (type, gravité, description) ; questions posées à l'assistant (non conservées après la réponse) | Générées par le Service |
| Demandes de contact | Nom, adresse e-mail, sujet et contenu de votre message ; le cas échéant, le fait que vous êtes connecté à votre compte (numéro de compte) | Vous, via le formulaire de contact |
| Données techniques | Adresse IP, date/heure, pages demandées, type de navigateur (journaux du serveur) ; compteurs anti-abus temporaires ; cookie de session | Automatique |
Nous ne collectons pas de données sensibles au sens de l'art. 9 RGPD / art. 5 let. c nLPD. Les libellés de transactions peuvent toutefois révéler indirectement des informations (santé, opinions, etc.) : elles ne font l'objet d'aucun traitement spécifique de notre part.
3. Finalités et bases légales
| Finalité | Base légale (RGPD) |
|---|---|
| Créer et gérer votre compte, vous authentifier | Exécution du contrat (art. 6.1.b) |
| Connecter vos comptes bancaires et afficher tableau de bord, transactions, budget, rapports | Votre consentement (art. 6.1.a), donné lors de la liaison bancaire et révocable à tout moment, et exécution du contrat |
| Analyses et assistant IA (détection d'abonnements, écarts de budget, conseils généraux) | Exécution du contrat (fonctionnalité demandée) ; vous pouvez ne pas utiliser l'assistant |
| Répondre à vos demandes envoyées via le formulaire de contact | Votre consentement (art. 6.1.a), donné en cochant la case du formulaire, et, si vous êtes client, exécution du contrat (art. 6.1.b) |
| Sécurité : prévention des abus, limitation des tentatives de connexion, journaux d'erreurs | Intérêt légitime (art. 6.1.f) à protéger le Service et vos données |
| Respect de nos obligations légales (réponse aux autorités, conservation éventuelle de données de facturation) | Obligation légale (art. 6.1.c) |
Aucune décision produisant des effets juridiques ou vous affectant de manière significative n'est prise sur le seul fondement d'un traitement automatisé : les analyses IA sont de simples indications.
3 bis. Prévention des abus de l'essai gratuit
Finalité : réserver l'essai gratuit de 14 jours à une seule utilisation par personne (prévention des abus). Base légale : notre intérêt légitime à éviter l'usage répété et abusif de l'essai (art. 6.1.f RGPD ; art. 31 nLPD).
- Données : votre adresse e-mail normalisée (minuscules, sans « +alias », sans les points pour Gmail), l'IBAN ou le numéro du compte d'un relevé importé ou d'une banque connectée, et votre identifiant utilisateur Tink lorsqu'il est disponible. Seuls les comptes dont vous êtes titulaire sont pris en compte, jamais ceux de vos contreparties.
- Données hachées, non réversibles : nous ne stockons qu'une empreinte HMAC-SHA256 calculée avec une clé secrète conservée hors du site. Elle ne permet pas de retrouver l'adresse ou le numéro de compte ; elle sert uniquement à reconnaître qu'une même donnée a déjà servi à un essai.
- Conservation : 24 mois, puis suppression automatique. Ces empreintes ne sont pas rattachées à votre compte : elles sont conservées même si vous supprimez votre compte, pendant cette durée, à cette seule fin. Elles ne sont ni partagées ni utilisées à d'autres fins (pas de prospection).
- Conséquence : si une empreinte a déjà servi, votre compte est créé sans nouvel essai (ou l'essai en cours prend fin) ; vos données restent consultables et exportables. Vous pouvez vous opposer à ce traitement ou nous signaler une erreur via le formulaire de contact.
4. Durées de conservation
- Transactions bancaires : 24 mois maximum ; les transactions plus anciennes sont supprimées automatiquement lors des synchronisations.
- Jeton d'accès Tink : jusqu'à son expiration ou jusqu'à la dissociation de votre banque ; il est supprimé lors d'une nouvelle liaison.
- Alertes IA : au plus 10 alertes actives ; une alerte marquée « résolue » est supprimée.
- Questions à l'assistant IA : non enregistrées par West Strategy.
- Compte, budget et données associées : tant que votre compte est actif ; supprimés dans un délai de 30 jours après votre demande de suppression, sous réserve d'obligations légales. [Préciser : suppression automatique après X mois d'inactivité ?]
- Empreintes anti-abus de l'essai (hachées, non réversibles) : 24 mois, y compris après la suppression du compte, puis suppression automatique.
- Demandes de contact : votre message est enregistré dans la base de données du Service, consultable uniquement par les administrateurs de West Strategy, et une copie peut nous être transmise par e-mail. Il est conservé 24 mois au maximum après sa réception, puis supprimé automatiquement.
- Journaux techniques : [DURÉE — ex. 12 mois maximum, selon la configuration Hostinger] ; compteurs anti-abus : quelques heures (24 h maximum).
5. Destinataires : prestataires techniques
Vos données sont accessibles uniquement aux personnes habilitées de West Strategy et aux prestataires techniques agissant pour notre compte, sans droit de réutilisation, liés par des engagements de confidentialité et de protection des données :
| Prestataire | Rôle | Données concernées |
|---|---|---|
| Hostinger International Ltd (Chypre, UE) | Hébergement du site et de la base de données | Toutes les données stockées par le Service |
| Tink AB (Suède, UE) | Connexion sécurisée à vos banques (agrégation de comptes, DSP2) | Données bancaires que vous autorisez Tink à nous transmettre. Tink agit aussi sous sa propre responsabilité pour le service de connexion qu'il vous fournit (voir sa politique de confidentialité). |
| Stripe Payments Europe, Ltd. (Irlande, UE) | Paiement et gestion des abonnements Premium (uniquement si vous souscrivez) | E-mail, offre choisie, données de paiement saisies chez Stripe. Stripe agit aussi sous sa propre responsabilité pour ses obligations légales (lutte contre la fraude et le blanchiment, comptabilité). |
| Google (API Gemini) | Génération des analyses et réponses de l'assistant IA | Données minimisées et pseudonymisées : libellés de transactions tronqués, catégories, montants, dates, totaux de budget, et votre question. Aucun nom, e-mail, IBAN ni identifiant de compte n'est transmis. |
| Messagerie électronique (messages envoyés via notre hébergeur, Hostinger) | Acheminement et réception des messages du formulaire de contact | Nom, e-mail, sujet et contenu de votre message |
Le site charge également des ressources techniques (feuilles de style, polices, icônes, bibliothèques JavaScript) depuis des réseaux de diffusion de contenus (cdn.jsdelivr.net, cdnjs.cloudflare.com). Ces services reçoivent votre adresse IP lors du chargement des pages. [Recommandé : héberger ces ressources sur notre serveur pour supprimer ce transfert]
Nous pouvons enfin communiquer des données aux autorités lorsque la loi l'exige.
6. Transferts hors de l'UE / de la Suisse
Hostinger et Tink traitent les données dans l'Union européenne. Les traitements réalisés via l'API Google Gemini, par le groupe Stripe (Stripe, Inc.) et certains réseaux de diffusion de contenus peuvent impliquer un transfert vers des pays situés hors de l'Espace économique européen et de la Suisse, notamment les États-Unis. Ces transferts reposent sur des garanties appropriées : décision d'adéquation (EU-U.S. Data Privacy Framework et Swiss-U.S. Data Privacy Framework, lorsque le prestataire y adhère) et/ou clauses contractuelles types de la Commission européenne, reconnues par le PFPDT. Vous pouvez obtenir une copie de ces garanties en nous contactant.
7. Sécurité
- Connexion chiffrée HTTPS sur l'ensemble du site.
- Mots de passe stockés sous forme hachée (algorithme bcrypt via
password_hash). - Jetons d'accès bancaires chiffrés en base de données (libsodium), avec une clé conservée hors du site web.
- Accès bancaire en lecture seule : le Service ne peut effectuer aucun paiement ni virement.
- Protection contre les attaques courantes : requêtes SQL préparées, échappement des affichages, jetons anti-CSRF, cookies de session sécurisés, limitation des tentatives de connexion, en-têtes de sécurité HTTP.
- Secrets techniques (clés API, mots de passe de base de données) stockés hors du répertoire public.
Aucun système n'étant infaillible, nous vous informerons, ainsi que l'autorité compétente, en cas de violation de données présentant un risque, dans les conditions prévues par la loi.
8. Vos droits
Vous disposez des droits suivants :
- Accès à vos données et obtention d'une copie ;
- Rectification des données inexactes ;
- Effacement (suppression de votre compte et de vos données) ;
- Limitation du traitement et opposition aux traitements fondés sur l'intérêt légitime ;
- Portabilité : recevoir vos données dans un format structuré et lisible par machine ;
- Retrait du consentement à tout moment, notamment en dissociant votre banque (le retrait ne remet pas en cause les traitements déjà effectués) ;
- France : définir des directives sur le sort de vos données après votre décès.
Comment les exercer : écrivez-nous via le formulaire de contact depuis l'adresse associée à votre compte. Nous pourrons vous demander de confirmer votre identité. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe (30 jours en Suisse). Vous pouvez aussi révoquer l'accès de Tink directement auprès de Tink ou de votre banque.
9. Réclamations
- France / UE : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr/fr/plaintes, ou l'autorité de contrôle de votre pays de résidence.
- Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch.
Nous vous invitons à nous contacter d'abord : nous ferons notre possible pour répondre à votre demande.
10. Cookies et stockage local
West Strategy n'utilise aucun cookie publicitaire, de mesure d'audience ni de suivi. Seuls les éléments strictement nécessaires au fonctionnement du Service sont utilisés. Ils sont exemptés de consentement (art. 82 de la loi Informatique et Libertés, lignes directrices de la CNIL).
| Nom | Type | Finalité | Durée |
|---|---|---|---|
WSSESSID | Cookie de session (HttpOnly, Secure, SameSite=Lax) | Vous maintenir connecté et protéger les formulaires (jeton anti-CSRF) | Jusqu'à la fermeture du navigateur ; session expirée après 30 min d'inactivité (8 h maximum) |
kairosSidebarCollapsed | Stockage local du navigateur (localStorage) | Mémoriser l'affichage réduit ou étendu du menu latéral | Jusqu'à ce que vous effaciez les données du site |
Vous pouvez supprimer ces éléments via les réglages de votre navigateur. La suppression du cookie de session vous déconnecte.
Si nous ajoutions un jour des cookies non essentiels (ex. mesure d'audience), nous vous demanderions votre consentement au préalable et mettrions à jour cette politique.
11. Mineurs
Le Service est réservé aux personnes âgées d'au moins 18 ans.
12. Modifications
Nous pouvons modifier la présente politique. En cas de changement important, nous vous en informerons par e-mail ou sur le Service avant son entrée en vigueur. La date de mise à jour figure en haut de cette page.